Klausyk NNP.LT
Nacionalinis kibernetinio saugumo centras (NKSC) 2025 m. birželio 20 d. paskelbė apie užfiksuotą masinį duomenų nutekėjimą ir gyventojams rekomendavo nedelsiant visose paskyrose aktyvuoti dviejų arba kelių veiksnių autentifikavimą. Tai ne teorinė atsargumo priemonė. Tai papildoma spyna, kuri lieka užrakinta net tada, kai nusikaltėlis jau turi jūsų slaptažodį.
Dviejų veiksnių autentifikavimas, dažnai trumpinamas 2FA, prašo ne tik įrašyti slaptažodį, bet ir patvirtinti, kad jungiatės būtent jūs. Patvirtinimas gali vykti programėlėje, telefonu, saugos raktu ar biometriniais duomenimis. Vienas papildomas veiksmas užtrunka kelias sekundes. Paskyros perėmimo pasekmės kartais kainuoja mėnesius nervų, pinigų ir laiko.
Šiame gide aiškiai paaiškinta, kaip įjungti dviejų veiksnių autentifikavimą, kurį metodą rinktis, kaip nepakliūti į patvirtinimo spąstus ir ką daryti, kad neprarastumėte prieigos pakeitę telefoną.
Kodėl vien slaptažodis nebėra patikima apsauga
Slaptažodis yra žinojimo veiksnys: jis turėtų būti žinomas tik paskyros savininkui. Praktikoje jis gali nutekėti kartu su duomenų baze, būti išviliotas apgaulingu laišku arba pakartotinai naudojamas keliose svetainėse. Nusikaltėliui nereikia spėlioti sudėtingo slaptažodžio, jei jis jau pateko į ankstesnio nutekėjimo rinkinius.
Todėl 2FA keičia prisijungimo logiką. Žinoti slaptažodį neužtenka – reikia turėti jūsų įrenginį, fizinį raktą arba patvirtinti tapatybę biometriniais duomenimis. Pavogtas slaptažodis tampa nepilnas. Jis nebeatidaro durų vienas.
JAV Kibernetinio ir infrastruktūros saugumo agentūra CISA nurodo, kad kelių veiksnių autentifikavimas reikalauja mažiausiai dviejų skirtingų kategorijų įrodymų. Pirmoji kategorija yra tai, ką žinote: slaptažodis arba PIN kodas. Antroji – tai, ką turite: telefonas, autentifikavimo programėlė ar saugos raktas. Trečioji – tai, kas esate: piršto atspaudas, veido atpažinimas ar kitas biometrinis patvirtinimas.
Būtent skirtingos kategorijos yra esminės. Du slaptažodžiai nėra du veiksniai. Slaptažodis ir į telefoną gaunamas kodas jau yra du atskiri įrodymai.
CISA vertinimu, MFA naudojimas paskyrą gali padaryti net 99 proc. mažiau pažeidžiamą įsilaužimams. „Microsoft“ pateikia dar ryškesnį automatizuotų atakų rodiklį: įjungtas kelių veiksnių autentifikavimas sustabdo daugiau nei 99,9 proc. automatizuotų bandymų perimti vartotojų paskyras. Tai nėra absoliutus saugumo pažadas, nes sukčiai taikosi ir į žmonių neatsargumą. Vis dėlto toks barjeras dramatiškai pakeičia jų galimybes.
Kaip įjungti dviejų veiksnių autentifikavimą: universalus kelias
Skirtingų paslaugų meniu pavadinimai skiriasi, tačiau veiksmų seka beveik visur panaši. Prisijunkite prie paskyros įprastu būdu ir atidarykite paskyros nustatymus. Ten ieškokite skilties „Sauga“, „Prisijungimas“, „Privatumas ir sauga“, „Paskyros apsauga“ arba panašiai pavadinto pasirinkimo.
Toliau raskite įrašą „Dviejų veiksnių autentifikavimas“, „Patvirtinimas dviem veiksmais“, „Kelių veiksnių autentifikavimas“ arba 2FA ir MFA trumpinius. Paslauga paprastai pasiūlys vieną ar kelis būdus: patvirtinimą programėlėje, vienkartinius kodus SMS žinute, fizinį saugos raktą, įrenginio pranešimą ar biometrinį tapatybės patvirtinimą.
Pasirinkę metodą, vykdykite ekrane rodomas instrukcijas. Programėlė dažniausiai parodys QR kodą, kurį reikia nuskaityti autentifikavimo programėle. Saugos raktą reikės prijungti arba priglausti prie įrenginio, atsižvelgiant į jo tipą. SMS metodu reikės patvirtinti telefono numerį gautu kodu.
Paskutinis žingsnis dažnai praleidžiamas, nors jis kritiškai svarbus: išsisaugokite atkūrimo kodus. Paslaugos juos pateikia kaip vienkartinius kodus kritinėms situacijoms – kai pametate telefoną, negalite pasiekti autentifikavimo programėlės ar keliaujate be įprasto įrenginio. Nelaikykite jų toje pačioje paskyroje, kurios prieigą jie atkuria. Užrašykite saugioje fizinėje vietoje arba laikykite patikimame, nuo paskyros nepriklausomame sprendime.
Galiausiai atsijunkite ir pabandykite prisijungti iš naujo. Taip patikrinsite, ar 2FA iš tiesų veikia ir ar suprantate, kaip vyksta patvirtinimas. Ši trumpa repeticija gali išgelbėti nuo panikos vėliau.
„Google“ paskyra: konkretūs aktyvavimo žingsniai
„Google“ paskyra dažnai yra pagrindinis skaitmeninis raktas, nes ji susieta su el. paštu, dokumentais, nuotraukomis, naršykle ir daugeliu kitų prisijungimų. Jei užpuolikas perima el. paštą, jis neretai gali inicijuoti slaptažodžių atkūrimą kitose paslaugose. Dėl to pradėti verta būtent nuo šios paskyros.
Oficialiame „Google“ paskyros žinyne nurodoma tokia seka: prisijunkite prie savo „Google“ paskyros, eikite į skiltį „Sauga ir prisijungimas“ ir pasirinkite „Patvirtinimas dviem veiksmais“. Sistema paprašys patvirtinti dabartinį slaptažodį, paskui pasiūlys galimus antruosius veiksnius ir padės užbaigti nustatymą.
Neskubėkite pasirinkti pirmo pasiūlyto būdo vien todėl, kad jis paprasčiausias. Įvertinkite, ar dažnai keičiate telefono numerį, ar turite atsarginį įrenginį, ar keliaujate, ar paskyra svarbi darbui ir finansams. Patogus metodas, kurio nenaudojate, saugumo nesukuria. Veikiantis metodas yra tas, kurį gebate patikimai pasiekti kasdien ir kritinę akimirką.
„Google“ tyrimų duomenys, cituojami kibernetinio saugumo apžvalgose, rodo, kad antrasis veiksnys užblokuoja 100 proc. automatizuotų robotų atakų ir 99 proc. masinių sukčiavimo laiškais vykdomų atakų. Skaičiai iškalbingi. Automatizacija užpuolikams leidžia bandyti tūkstančius paskyrų, o 2FA jų procesą dažniausiai sustabdo ties pirmuoju bandymu.
Kurias paskyras apsaugoti pirmiausia
Jeigu visų paskyrų saugumo tvarkymas atrodo pernelyg didelis darbas, pradėkite nuo tų, kurios atrakina kitas. Pirmoji eilėje turi būti pagrindinė el. pašto paskyra. Antroji – interneto banko ir kitų finansinių paslaugų prieigos. Trečioji – socialinių tinklų paskyros, ypač jei jose valdote puslapius, reklamą ar turite daug asmeninės informacijos.
Toliau apsaugokite debesų saugyklas, darbo komunikacijos įrankius, elektronines parduotuves, kuriose išsaugoti mokėjimo duomenys, bei paskyras, susietas su jūsų verslu. Finansinė žala prasideda ne vien nuo tiesioginio pinigų pervedimo. Užpuolikas gali bandyti apsimesti jumis, išsiųsti apgaulingas žinutes kontaktams ar užgrobti įmonės komunikaciją.
NKSC rekomendacija po 2025 m. birželio nutekėjimo apima visas paskyras, ne vien garsiausių platformų profilius. Tai racionalus požiūris. Žmogus paprastai nežino, kuri konkreti sena paslauga saugojo jo duomenis nepakankamai atsargiai, todėl verta mažinti riziką ten, kur ją galite kontroliuoti patys.
Kibernetinio saugumo bendrovės „ESET“ ekspertas Lukas Apynis 2025 m. sausio 16 d. taip pat pabrėžė paprastą principą: 2FA po slaptažodžio reikalauja papildomo veiksmo – SMS ar programėlės kodo įvedimo arba biometrinio patvirtinimo. Būtent šis papildomas patikrinimas apsaugo paskyrą, net jeigu slaptažodis nuteka. Tai mažas nepatogumas, palyginti su paskyros atkūrimo chaosu.
Autentifikavimo programėlė, SMS ar saugos raktas
SMS kodai daugeliui pažįstami, nes nereikia diegti papildomos programos. Jie geriau nei vienas slaptažodis ir gali būti tinkama pradžia žmogui, kuris iki šiol nenaudojo jokios papildomos apsaugos. Tačiau SMS priklauso nuo telefono numerio ir mobiliojo ryšio, todėl ši priemonė nėra stipriausias pasirinkimas jautriausioms paskyroms.
Autentifikavimo programėlė generuoja laikinus kodus telefone. Ji patogi, nes kodai paprastai veikia ir be mobiliojo ryšio. Nustatydami tokią programėlę, nepraleiskite atsarginės prieigos klausimo: prieš perkeldami duomenis į naują telefoną įsitikinkite, kad žinote, kaip atkuriami kodai arba kur saugomi atkūrimo kodai.
Fizinis saugos raktas yra dar viena alternatyva. Tai atskiras įrenginys, naudojamas prisijungimui patvirtinti. Jis ypač naudingas paskyroms, nuo kurių priklauso įmonės veikla, finansiniai sprendimai ar vieša komunikacija. Raktą reikia laikyti taip atsakingai, kaip namų ar automobilio raktus. Pametus raktą, atsarginis autentifikavimo metodas tampa būtinybe, o ne prabanga.
Biometrinis patvirtinimas, pavyzdžiui, veido ar piršto atspaudo atpažinimas, prisijungimą padaro greitesnį konkrečiame įrenginyje. CISA jį priskiria kategorijai „tai, kas esate“. Biometrija patogi, tačiau naudotojas vis tiek turi rūpintis paskyros atkūrimo galimybėmis ir pagrindinės paskyros saugumu.
Pastaraisiais metais sparčiai plinta prieigos raktai, dar vadinami „passkeys“. FIDO aljanso ataskaitos „State of Passkeys 2026“ duomenimis, pasaulyje jau naudojama daugiau nei 5 mlrd. aktyvių prieigos raktų. Jie leidžia autentifikuotis nenaudojant tradicinio slaptažodžio, dažnai pasitelkiant įrenginio ekrano užraktą ar biometrinius duomenis. Tai rodo kryptį: saugumas tolsta nuo slaptažodžio, kurį galima išvilioti, link patvirtinimo, susieto su žmogaus įrenginiu.
Saugiausias pasirinkimas neveikia, jei patvirtinate sukčių
2FA nėra leidimas aklai spausti „Patvirtinti“. Sukčiai gali išsiųsti netikrą prisijungimo puslapį, išvilioti slaptažodį ir tada bandyti įkalbėti žmogų patvirtinti prisijungimo užklausą telefone. Kartais tokios užklausos siunčiamos kartotinai, tikintis, kad pavargęs ar sutrikęs naudotojas vieną kartą paspaus patvirtinimo mygtuką.
Taisyklė paprasta: niekada netvirtinkite prisijungimo, kurio patys ką tik nepradėjote. Jei telefonas prašo patvirtinti prieigą, nors nesijungėte, pasirinkite atmetimą. Tuomet pakeiskite slaptažodį, peržiūrėkite aktyvius prisijungimus ir patikrinkite, ar paskyroje neatsirado nepažįstamų atkūrimo el. pašto adresų, numerių ar įrenginių.
Neįveskite vienkartinio kodo žmogui, kuris paskambinęs prisistato banko, platformos ar valstybės įstaigos darbuotoju. Tikras aptarnavimo specialistas neturi prašyti jūsų prisijungimo kodo, nes šis kodas skirtas patvirtinti jūsų veiksmą, o ne įrodyti tapatybę skambinančiajam. Tai saugumo riba. Jos neperženkite.
Taip pat tikrinkite interneto adresą prieš įvesdami slaptažodį. Netikras puslapis gali atrodyti labai panašus į tikrą, o jo tikslas dažnai nėra iškart pavogti pinigus. Kartais užpuolikui pakanka gauti slaptažodį ir išprovokuoti jus patvirtinti antrąjį veiksnį.
Skaičiai rodo, kad grėsmė yra nuolatinė
„Microsoft Digital Defense Report 2025“ ataskaitos duomenimis, „Microsoft Entra ID“ sistemoje per pastaruosius metus vidutiniškai buvo blokuojama po 7 000 slaptažodžių perėmimo atakų per sekundę. Šis skaičius gerai atskleidžia atakų mastą: tai ne pavienės, ranka vykdomos vagystės. Didelę jų dalį atlieka automatizuotos sistemos, kurios nuolat tikrina nutekėjusius prisijungimo duomenis ir ieško neapsaugotų paskyrų.
Būtent todėl teiginys, kad „mano paskyra niekam neįdomi“, klaidina. Automatizuotas puolimas nerenka aukų pagal asmeninį išskirtinumą. Jis tikrina, kur durys paliktos praviros. 2FA nepadaro žmogaus nematomu, bet paverčia jo paskyrą daug sunkiau pasiekiama.
Organizacijų elgsena irgi rodo, kad MFA tampa baziniu standartu. Ataskaitos „Okta Secure Sign-in Trends Report 2025“ duomenimis, iki 2025 m. sausio MFA buvo taikomas 70 proc. organizacijų darbuotojų. Tai dar ne visuotinis lygis, tačiau kryptis aiški: darbdaviai šią priemonę laiko praktine būtinybe, o ne papildoma galimybe.
2025 m. spalį „Microsoft“ išplėtė privalomą MFA taikymą savo administracinėse platformose, įskaitant „Azure CLI“ ir „PowerShell“. Bendrovė taip pat paskelbė planus iki 2026 m. SMS autentifikavimą keisti saugesnėmis programėlėmis ir prieigos raktais. Tokie sprendimai svarbūs ne vien administratoriams. Jie signalizuoja, kad vien telefono numeriu paremtas tapatybės patvirtinimas ilgainiui užleis vietą atsparesniems metodams.
Ką daryti pakeitus ar praradus telefoną
Dažniausia priežastis, kodėl žmonės atideda 2FA, yra baimė užsirakinti savo paskyroje. Šią riziką galima suvaldyti dar prieš jai atsirandant. Pirmiausia parsisiųskite ir saugiai atskirai laikykite atkūrimo kodus. Antra, pridėkite daugiau nei vieną patikimą prisijungimo būdą, jei paslauga tai leidžia: pavyzdžiui, autentifikavimo programėlę ir saugos raktą.
Trečia, reguliariai peržiūrėkite paskyros saugumo nustatymus. Patikrinkite, ar atkūrimo telefono numeris ir el. paštas vis dar jūsų, ar sąraše nėra pamiršto seno įrenginio, ar neatsirado svetimų sesijų. Pakeitę telefoną, nepalikite senojo įrenginio kaip vienintelio vietos, kurioje veikia programėlės kodai.
Jeigu telefoną pavogė, nedelskite. Pirmiausia naudokite kitą patikimą įrenginį ir prisijunkite per atsarginį metodą arba atkūrimo kodą. Tada pakeiskite slaptažodį, pašalinkite pamestą įrenginį iš patikimų įrenginių sąrašo ir peržiūrėkite paskyros veiklą. Kuo greičiau nutrauksite galimą prieigą, tuo mažiau galimybių užpuolikui.
DUK: dažniausi klausimai apie 2FA
**Ar dviejų veiksnių autentifikavimas reiškia, kad slaptažodžio nebereikia?**
Dažniausiai ne. 2FA papildo slaptažodį antru nepriklausomu patvirtinimu. Prieigos raktai kai kuriose paslaugose leidžia nutolti nuo tradicinio slaptažodžio, tačiau visada laikykitės konkrečios platformos nustatymų ir atkūrimo taisyklių.
**Ar SMS kodas yra pakankamas?**
SMS yra reikšmingai geriau nei apsauga vien slaptažodžiu. Vis dėlto, jei paslauga leidžia, jautriausioms paskyroms verta rinktis autentifikavimo programėlę, saugos raktą arba prieigos raktą. Svarbiausia nepalikti paskyros be jokio antrojo veiksnio.
**Ar reikia 2FA kiekvienai paskyrai?**
NKSC po masinio nutekėjimo rekomendavo aktyvuoti dviejų arba kelių veiksnių autentifikavimą visose paskyrose. Praktiškai pirmiausia apsaugokite el. paštą, bankininkystę, socialinius tinklus ir darbines sistemas, o tada nuosekliai sutvarkykite likusias paslaugas.
**Ką daryti gavus kodą, kurio neprašiau?**
Nieko nepatvirtinkite ir kodo niekam nesiųskite. Tai gali reikšti, kad kažkas jau bando naudoti jūsų slaptažodį. Pakeiskite slaptažodį, patikrinkite aktyvius įrenginius bei peržiūrėkite atkūrimo duomenis.
**Ar vien 2FA apsaugo nuo visų sukčių?**
Ne. Ji labai sumažina neteisėto prisijungimo tikimybę, bet neapsaugo, jei žmogus pats atiduoda kodą, patvirtina svetimą užklausą ar įveda duomenis apgaulingame puslapyje. Sauga veikia kaip grandinė: stiprus unikalus slaptažodis, atsargumas su nuorodomis, atnaujinti įrenginiai ir 2FA vienas kitą sustiprina.
Geriausia pradėti šiandien, ne po incidento
Klausimas, kaip įjungti dviejų veiksnių autentifikavimą, neturėtų likti tik perskaitytu patarimu. Atidarykite pagrindinės el. pašto paskyros saugumo nustatymus dabar, pasirinkite papildomą patvirtinimo būdą ir išsisaugokite atkūrimo kodus. Tada pereikite prie finansinių, darbo ir socialinių tinklų paskyrų.
2025 m. NKSC perspėjimas apie maždaug 16 mlrd. paskyrų duomenų mastą priminė nemalonią realybę: nutekėję slaptažodžiai internete gali cirkuliuoti ilgai, o jų savininkai apie tai dažnai net nežino. CISA, NKSC ir didžiosios technologijų bendrovės dėl vieno sutaria – kelių veiksnių autentifikavimas yra viena veiksmingiausių priemonių, kurias vartotojas gali įjungti pats.
Tai užtrunka trumpiau nei rytinė kava. O skirtumas gali būti visas jūsų skaitmeninis gyvenimas.
Trumpas saugumo patikrinimas, kurį verta atlikti reguliariai
Įjungtas 2FA nėra nustatymas, kurį galima pamiršti visam laikui. Kartą per kelis mėnesius skirkite kelias minutes paskyrų saugumo peržiūrai: patikrinkite prisijungusių įrenginių sąrašą, pašalinkite nebenaudojamas naršykles ir telefonus, o atkūrimo kodus laikykite ten, kur jų nepasiektų tas pats pamestas įrenginys.
Ypač atidžiai vertinkite pranešimus apie naują prisijungimą ar pakeistus atkūrimo duomenis. Jei tokių veiksmų neatlikote jūs, reaguokite iš karto. Tai ne ta situacija, kurią verta palikti rytdienai.
Praktiškiausia tvarka paprasta: pirmiausia apsaugokite paskyrą, kuri atstato kitų paslaugų slaptažodžius, tai yra el. paštą. Po jos sutvarkykite finansines ir darbines paskyras. Tik tada imkitės rečiau naudojamų platformų.
Toks prioritetų sąrašas leidžia apsaugą įdiegti be chaoso. O nuoseklumas čia vertesnis už vieną didelį pažadą kada nors viską susitvarkyti.
Šaltiniai
- Masinis slaptažodžių nutekėjimas: NKSC pataria kaip apsaugoti save ir savo paskyras
- Multifactor Authentication | CISA
- Kas yra dviejų žingsnių autentifikacija ir kaip tai gali apsaugoti nuo sukčių? – ESET
- Patvirtinimo dviem veiksmais įjungimas – „Google“ paskyra Žinynas
- Two Factor Authentication Statistics 2026: The Most Important Numbers and Trends to Know
- MFA Statistics for 2026: Adoption Rates, Effectiveness, and the Push-Bombing Problem
Dažniausiai užduodami klausimai
Kas yra dviejų veiksnių autentifikavimas ir kodėl jis reikalingas?
Dviejų veiksnių autentifikavimas reikalauja ne tik įrašyti slaptažodį, bet ir patvirtinti tapatybę programėlėje, telefonu, saugos raktu ar biometriniais duomenimis. Ši papildoma apsauga sustabdo daugiau nei 99 procentus automatizuotų įsilaužimo bandymų net ir tuo atveju, jei slaptažodis jau yra nutekėjęs.
Kurią paskyrą reikėtų apsaugoti pirmiausia?
Pirmiausia reikėtų apsaugoti pagrindinę el. pašto paskyrą, nes ji dažnai yra pagrindinis skaitmeninis raktas, per kurį užpuolikai gali inicijuoti slaptažodžių atkūrimą kitose paslaugose. Toliau eilėje seka interneto bankas, finansinės paslaugos, socialiniai tinklai bei debesų saugyklos.
Ką daryti gavus prisijungimo kodą, kurio nebuvo prašoma?
Gavus tokį kodą negalima nieko patvirtinti ar kodo kam nors siųsti, nes tai gali reikšti, kad kažkas bando pasinaudoti slaptažodžiu. Tokiu atveju reikia nedelsiant pakeisti slaptažodį, patikrinti aktyvius įrenginius bei peržiūrėti paskyros atkūrimo duomenis.
